Italienische Organisationen machen laut der Untersuchung von Intel471 etwa 7 % der Zugangsdaten aus, die in Cybercrime-Foren zum initialen Zugang verkauft werden. Damit liegt Italien hinter den USA mit 30 % auf Platz zwei, so Dark Reading. Auffällig ist vor allem, wie die Broker Zugang erlangten: Bei italienischen Fällen geht die Ausnutzung von Schwachstellen auf 57 % zurück, Zugangsdaten dagegen nur auf 23 %.
Die Ergebnisse rücken anfällige Software und Webinfrastruktur in den Mittelpunkt des italienischen Bildes. Die Gründe bleiben jedoch Hypothesen. Intel471 nennt als mögliche Erklärungen langsameres Patchen, die Möglichkeit, Ausnutzungsmethoden über Organisationen hinweg wiederzuverwenden, sowie die große Zahl kleiner Unternehmen in Italien.
Schwachstellen prägen die italienischen Befunde
Dark Reading berichtete über die Ergebnisse aus einem Intel471-Bericht, der vor seiner Veröffentlichung geteilt wurde. Initial Access Broker verschaffen sich Zugang zu Organisationen und verkaufen diesen an andere Kriminelle weiter. Ihre Angebote beschreiben einen Markt für kompromittierte Zugänge; sie sind keine Bestandsaufnahme aller Cyberangriffe.
In den italienischen Daten betrafen 49 % der Zugangsverkäufe webbasierte Infrastruktur im Besitz der Opfer, während Fernzugriffs- und Remote-Desktop-Tools auf 26 % kamen. Laut der Untersuchung belegte Italien zudem den vierten Platz unter den Ländern, die am häufigsten Ziel von Ransomware sind.
Das Muster unterscheidet sich deutlich von den globalen Zahlen von Intel471 für 2025, veröffentlicht im Bericht „2026 Cyber Threat Trends & Outlook“. Weltweit machten Fernzugriffs- und Remote-Desktop-Tools 67 % der Angebote der Broker aus. Zugangsdaten wurden in 49 % der Angebote als Angriffsart beworben, ausgenutzte Schwachstellen dagegen nur in 6,5 % der Fälle.
Diese Vergleiche beziehen sich auf unterschiedliche Datensätze. Sie belegen nicht, warum italienische Organisationen auf dem Zugangsmarkt so stark vertreten sind.
Massenverkäufe deuten auf wiederholbare Kompromittierungen hin
Gianluca Tiepolo, Cybercrime-Analyst bei Intel471, sagte Dark Reading, dass 90 % der Angebote für initialen Zugang in Italien „Großhandels“-Angebote gewesen seien. Er führte dies auf breit angelegte Ausnutzung von Schwachstellen zurück und nicht auf Operationen, die gezielt auf Italien ausgerichtet waren.
Tiepolos Einschätzung lautet, dass italienische Organisationen langsamer patchen als solche in anderen Ländern. Außerdem beschrieb er eine historisch langsamere Einführung von Sicherheitstechnik und sagte, Endpoint-Detection-and-Response-Lösungen hätten sich in Italien etwa 2020–2021 verbreitet. Dabei handelt es sich um vorgeschlagene Erklärungen für die Befunde, nicht um nachgewiesene Ursachen.
Eine verwandte Hypothese lautet, dass gängige Technologien und ungeschlossene Schwachstellen es Kriminellen erlauben, eine funktionierende Ausnutzungsmethode bei vielen verwundbaren Unternehmen wiederzuverwenden, was den Aufwand für jede einzelne Kompromittierung senkt. Die Forschenden benannten jedoch nicht die konkreten Technologien oder Schwachstellen, die diese Erklärung belegen würden.
Das Sicherheitsunternehmen Cleafy aus Mailand berichtete Dark Reading, dass Angreifer Werkzeuge, Infrastruktur und Techniken über italienische Ziele im Bankensektor hinweg wiederverwendet hätten. Cleafy wies ausdrücklich darauf hin, dass diese Beobachtungen keinen unverhältnismäßig großen italienischen Markt für initialen Zugang belegen.
Die Unternehmensstruktur Italiens bietet eine weitere mögliche Erklärung. Dark Reading zitierte einen OECD-Bericht, wonach KMU im Jahr 2023 99,9 % der italienischen Unternehmen ausmachten, Kleinstunternehmen allein 94,8 %. Tiepolo sagte, die Erpressungsdaten von Intel471 zeigten eine unverhältnismäßig starke Ausrichtung auf kleine und mittlere Unternehmen, was Italiens Präsenz erklären könnte.
Die Untersuchung hebt daher Zugangsverkäufe auf Basis von Schwachstellen und Massenkompromittierungen als zentrale Befunde hervor. Langsameres Patchen, wiederverwendbare Angriffe und die Unternehmensstruktur bleiben Erklärungen, die weiter zu prüfen sind, und keine gesicherten Ursachen.
